在非域帐户上使用带有服务帐户凭据的Google API

Question

我正在构建一个需要读取普通Gmail收件箱（不是域的一部分）的Web服务。

代码：

String serviceAccountEmail = "[e-mail]";

var certificate = new X509Certificate2(@"key.p12", "notasecret", X509KeyStorageFlags.Exportable);

ServiceAccountCredential credentials = new ServiceAccountCredential(
    new ServiceAccountCredential.Initializer(serviceAccountEmail)
    {
        Scopes = new string[] { GmailService.Scope.GmailModify },
        User = "[e-mail]"
    }.FromCertificate(certificate));

var service = new GmailService(new BaseClientService.Initializer()
{
    HttpClientInitializer = credentials,
    ApplicationName = ApplicationName,
});

UsersResource.MessagesResource.ListRequest allMessages = service.Users.Messages.List("me");

IList<Message> messages = allMessages.Execute().Messages;

错误：

An unhandled exception of type 'Google.Apis.Auth.OAuth2.Responses.TokenResponseException' occurred in Google.Apis.dll

Additional information: Error:"unauthorized_client", Description:"Unauthorized client or scope in request.", Uri:""

我看不出这有什么原因不起作用，但读完这篇文章后，你似乎不能在个人@gmail帐户上使用服务帐户凭据。有谁知道这是真的还是我做错了什么？

感谢您的帮助！

更新

如果我将Scope更改为GmailService。范围。GmailReadonly，我可以查看邮件，但无法修改标签，这是我的要求。

Answer 1

服务号是一个虚拟用户，可能有它的gmail帐户，但我怀疑它（我也从未测试过它）对于一个服务号能够访问你的数据，它必须获得访问它的权限。

就像其他用户一样，服务帐户无法访问您的电子邮件，因为据我所知，无法授予其他人或服务帐户访问用户电子邮件的权限。

让我们以谷歌日历为例。如果我授予服务帐户电子邮件地址访问我帐户上的日历，它将能够从中读取。如果我允许它访问我的谷歌驱动器上的文件夹，它也可以从中读取。基本上，您可以像其他用户一样添加服务帐户电子邮件，如果您可以这样做，那么服务帐户就可以访问数据。

这在Blogger和YouTube上也不起作用，因为你不能“添加电子邮件地址以允许其他用户访问你的帐户”。据我所知，没有办法授权其他人或电子邮件访问您的gmail。您需要使用OAUTH2并对用户进行身份验证。